Baggrunden for klagen

1. Den 26. juli 2018 anmodede klageren Forvaltningsorganet for Innovation og Netværk (INEA) om at give ham offentlig adgang til den fuldstændige dokumentation fra et offentligt organ (den nationale cybersikkerhedsmyndighed i en medlemsstat), der søger finansiering fra INEA ^[1].

2. Den 1. august 2018 svarede INEA klageren og identificerede de ønskede dokumenter som ansøgningsskema A til D. INEA afslog at give ham aktindsigt på grundlag af undtagelsen vedrørende forretningsmæssige interesser i artikel 4, stk. 2, første led, og undtagelsen vedrørende personoplysninger i artikel 4, stk. 1, litra b), i forordning (EF) nr. 1049/2001 ^[2].

3. Samme dag fremsatte klageren en anmodning om fornyet behandling (en såkaldt "genfremsat begæring") og anmodede INEA om at tage sit tidligere afslag op til fornyet behandling og give ham aktindsigt i de ønskede dokumenter.

4. Den 7. august 2018 hørte INEA den nationale cybersikkerhedsmyndighed i overensstemmelse med artikel 4, stk. 4, i forordning 1049/2001.

5. Den 21. august 2018 bekræftede INEA sin tidligere afgørelse om afslag på aktindsigt i de ønskede dokumenter.

6. Den 7. oktober 2018 indgav klageren en klage til Ombudsmanden. Ombudsmanden indledte derefter en undersøgelse.

Ombudsmandens forslag til en løsning

7. I løbet af undersøgelsen bemærkede Ombudsmanden, at INEA hørte den nationale cybersikkerhedsmyndighed, hvorfra dokumenterne stammede, om muligheden for at videregive de ønskede dokumenter. I den forbindelse fremsatte INEA et forslag om delvis videregivelse med angivelse af de oplysninger, som den mente burde redigeres (fordi de var kommercielt følsomme eller indeholdt personoplysninger), og opfordrede den nationale cybersikkerhedsmyndighed til at fremsætte sine synspunkter om den foreslåede videregivelse. Den nationale cybersikkerhedsmyndighed anførte, at den ikke var enig i udbredelsen af dokumenterne.

8. Ombudsmanden bemærkede, at INEA ikke var bundet af den nationale cybersikkerhedsmyndigheds udtalelse, som fastslået i sagen Terezakis mod Kommissionen [3].

9. Ombudsmanden fandt, at de ønskede dokumenter indeholdt visse oplysninger af kommerciel værdi, og var enig i, at offentliggørelse af dette sandsynligvis ville skabe en urimelig fordel i fremtidige udbud og forslag. Klageren påviste ikke en mere tungtvejende offentlig interesse i udbredelsen, som kunne begrunde, at beskyttelsen af disse kommercielle interesser blev nægtet. Ombudsmanden fandt derfor, at disse oplysninger bør betragtes som kommercielt følsomme i overensstemmelse med artikel 4, stk. 2, første led, i forordning (EF) nr. 1049/2001.

10. Dokumenterne indeholdt imidlertid også visse oplysninger, som ikke syntes at være kommercielt fortrolige. Dette var generelle oplysninger om projektet i overensstemmelse med den offentligt tilgængelige indkaldelse af forslag ^[4] Ombudsmanden bemærkede, at ikke blot var indkaldelsen af forslag allerede offentligt tilgængelig, men også projektoplysningerne, hvilket blev bekræftet af klageren ^[5] og INEA ^[6]. Ombudsmanden konkluderede, at disse oplysninger ikke var følsomme, og at deres udbredelse ikke ville skade den offentlige virksomheds kommercielle interesser eller de intellektuelle ejendomsrettigheder.

11. Med hensyn til de redigerede personoplysninger fandt Ombudsmanden, at klageren ikke havde fastslået nødvendigheden af at få overført personoplysninger ^[7], og var enig i, at personoplysningerne i de ønskede dokumenter burde redigeres i overensstemmelse med artikel 4, stk. 1, litra b), i forordning (EF) nr. 1049/2001 og artikel 8, litra b), i forordning (EF) nr. 45/2001.

12. Ombudsmanden foreslog derfor, at INEA delvist skulle offentliggøre de relevante tilskudsansøgningsformularer A og D og kun redigere oplysninger, som INEA anså for at være reelt kommercielt følsomme eller personoplysninger. Ombudsmanden foreslog, at INEA's oprindelige forslag om delvis fremlæggelse af oplysninger (fremsat under høringerne af den offentlige virksomhed) var det rette grundlag at gå videre på.

Ombudsmandens henstilling

13. INEA afviste Ombudsmandens forslag om delvis fremlæggelse af oplysninger. INEA bemærkede, at oplysninger om projektets omfang og mål allerede er offentligt tilgængelige og "i bund og grund er sammenfaldende" med oplysningerne i de dele af dokumenterne, som Ombudsmanden foreslog skulle offentliggøres. Den fremførte, at den administrative byrde ved at gennemføre Ombudsmandens forslag ville være for stor, og at delvis aktindsigt ville være meningsløs, da de oplysninger, der kunne videregives, allerede var offentlige ^[8].

14. INEA understregede også, at projektet vedrører cybersikkerhed, som er et område, hvor fortrolighed er afgørende. Den fremførte, at hvis de ønskede dokumenter blev offentliggjort, ville tilliden mellem Kommissionen og de relevante gennemførelsesaktører blive brudt og kunne føre til modvilje mod at ansøge om tilskud i fremtiden. Den sagde, at sådanne aktører i deres projektforslag giver nærmere oplysninger om deres personale og operationer, som, hvis de offentliggøres, vil gøre det muligt for eksterne enheder at forstå, hvordan de fungerer. Det bemærkede desuden, at nogle af gennemførelsesaktørerne er en del af medlemsstaternes sikkerheds- og efterretningsinfrastruktur. Som følge heraf hævdede den, at offentliggørelse også kunne skade medlemsstaternes cybersikkerhed gennem målrettede cyberangreb.

15. Ombudsmanden mente, at gennemførelsen af hendes forslag ikke ville pålægge INEA en yderligere administrativ byrde, eftersom INEA allerede havde fremsat et oprindeligt forslag om delvis offentliggørelse i forbindelse med høringen af den relevante nationale cybersikkerhedsmyndighed.

16. Ombudsmanden mente også, at det forhold, at oplysninger allerede er offentligt tilgængelige, ikke betyder, at aktindsigt i de ønskede dokumenter ville være meningsløs. Hun bemærkede, at udbredelse kun kan anses for meningsløs eller meningsløs, hvis redigeringerne er så omfattende, at et dokument "helt fratages sit indhold"^[9]. Dette er ikke tilfældet i den foreliggende sag. Hvis der skal drages en konklusion af den omstændighed, at visse oplysninger i dokumenterne allerede er offentligt tilgængelige, er det, at de interesser, der er beskyttet ved forordning nr. 1049/2001, ikke kan skades af udbredelsen af disse oplysninger. 

17. Ombudsmanden bemærkede, at hendes forslag om offentliggørelse vedrørte oplysninger, der ikke kan betragtes som følsomme, såsom projektets omfang og mål, dets relevans og beskrivelserne af aktiviteterne. Redigering af oplysninger, der kan være kommercielt følsomme eller indeholde personoplysninger, er berettiget.^[10] Ombudsmanden fandt derfor, at en delvis udbredelse af de ønskede dokumenter ikke ville underminere tilliden mellem Kommissionen og den offentlige virksomhed.

18. Ombudsmanden fandt også, at den nationale cybersikkerhed ikke kunne undergraves af delvis offentliggørelse, da de dele af dokumenterne, der skulle offentliggøres, indeholder oplysninger, der allerede er offentlige. Under alle omstændigheder indeholder disse oplysninger ikke detaljerede tekniske oplysninger, der gør det muligt for eksterne enheder at forstå de nationale cybersikkerhedsagenturers funktion og dermed skade medlemsstaternes cybersikkerhed.

19. I lyset af ovenstående fandt Ombudsmanden, at INEA's afslag på at give delvis aktindsigt i dokumenterne udgjorde et tilfælde af fejl eller forsømmelser. Hun fremsatte derfor følgende henstilling (i overensstemmelse med artikel 3, stk. 6, i statutten for Den Europæiske Ombudsmand):

"Forvaltningsorganet for Innovation og Netværk bør delvist offentliggøre de ønskede tilskudsansøgningsformularer A og D og kun redigere oplysninger, der virkelig er kommercielt følsomme, eller som er personoplysninger, der kræver beskyttelse."

INEA's svar på Ombudsmandens henstilling

20. INEA afviste Ombudsmandens henstilling. Den fremførte, at EU's retsinstanser anerkender en generel formodning om hemmeligholdelse i forbindelse med udbud ^[11], som analogt også gælder for tilskudsprocedurer. Den anførte, at Europa-Kommissionens foreslåede praksis er at afslå anmodninger om aktindsigt i dokumenter vedrørende ansøgninger om tilskud af hensyn til beskyttelsen af forretningsmæssige interesser og privatlivets fred.

21. INEA hævdede, at dets oprindelige forslag om delvis fremlæggelse af oplysninger "blot var et grundlag for at indlede drøftelser og ikke agenturets endelige holdning". INEA mener nu, at sletning af de følsomme oplysninger ville gøre den offentliggjorte del af dokumentet meningsløs. Den sagde også, at de redigerede dokumenter ville være meningsløse for klageren, da oplysningerne allerede er offentligt tilgængelige. INEA anførte, at EU's retsinstanser har vurderet, at institutionerne har ret til at afvise delvis aktindsigt i sådanne tilfælde ^[12].

22. INEA hævdede, at eftersom de ikkefølsomme oplysninger er spredt ud i de ønskede dokumenter, "ville en delvis sletning indebære en alvorlig risiko for, at punktlig offentliggørelse af offentligt tilgængelige elementer stadig kunne føre til offentliggørelse af følsomme oplysninger". Det bemærkede også, at Kommissionen og den selv var bekymrede for, at et muligt brud på fortroligheden i forbindelse med cybersikkerhed kunne underminere tilliden hos den pågældende nationale cybersikkerhedsmyndighed og fremtidige samarbejdspartnere.

23. INEA hævdede, at gennemsigtighed og borgernes deltagelse i beslutningsprocessen ikke kan bruges som argument for en mere tungtvejende offentlig interesse i udbredelsen i dette tilfælde, da ansøgninger om tilskud ikke er en del af lovgivningsproceduren.

Ombudsmandens vurdering efter henstillingen

24. Ombudsmanden er skuffet over INEA's svar på hendes henstilling.

25. Hun mener ikke, at INEA's nye argument for at nægte delvis aktindsigt på grundlag af en generel formodning om manglende fremlæggelse af tilbud/tilskud er overbevisende. Uden nødvendigvis at acceptere, at en sådan generel formodning finder anvendelse, bemærker Ombudsmanden, at alle generelle formodninger vedrørende EU's regler om aktindsigt kan afkræftes. Ombudsmanden har klart forklaret, hvorfor visse oplysninger i dokumenterne ikke kan betragtes som fortrolige. Som sådan afkræftes enhver generel formodning, der måtte finde anvendelse med hensyn til bud i denne sag.  

26. Det fremgår også klart af INEA's bekræftende afgørelse og efterfølgende korrespondance med Ombudsmanden, at INEA allerede har foretaget en individuel vurdering af de ønskede dokumenter og identificeret de dele af dokumentet, der er omfattet af undtagelser i henhold til forordning 1049/2001, og andre dele, der allerede er offentligt tilgængelige. 

27. Ombudsmanden er desuden uenig i INEA's vurdering af, at offentliggørelsen af en redigeret udgave af dokumenterne ville være meningsløs i denne sag. Selv om nogle af de ikkefølsomme oplysninger i de ønskede dokumenter allerede er tilgængelige for offentligheden, kan den (delvise) offentliggørelse af dokumentet hjælpe klageren med at fastslå, om ansøgningen om tilskud indeholder de samme oplysninger, som allerede er offentligt tilgængelige. Selv en redigeret udgave af dokumenterne ville derfor være til nogen nytte for klageren.

28. På grundlag af ovenstående bekræfter Ombudsmanden sin konklusion om, at INEA's afslag på at give delvis aktindsigt i de pågældende dokumenter udgjorde et tilfælde af fejl eller forsømmelser.

Konklusion

På grundlag af undersøgelsen afslutter Ombudsmanden denne sag med følgende konklusion:

Ombudsmanden er ikke tilfreds med Forvaltningsorganet for Innovation og Netværks svar på hendes henstilling om, at Forvaltningsorganet for Innovation og Netværk delvist bør offentliggøre de ønskede tilskudsansøgningsformularer A og D, og bekræfter hendes konstatering af fejl eller forsømmelser.

Klageren og Forvaltningsorganet for Innovation og Netværk vil blive underrettet om denne afgørelse.

Emily O'Reilly

Den Europæiske Ombudsmand

Strasbourg, den 4. oktober 2019

[1] Finansieringen vedrørte forbedrede nationale cybersikkerhedstjenester og -kapaciteter for interoperabilitet (eCSI), aktion 2016-RO-IA-0128, som findes på INEA's websted: https://ec.europa.eu/inea/en/connecting-europe-facility/cef-telecom/2016-ro-ia-0128 Indkaldelse af forslag vedrørende projekter af fælles interesse under Connecting Europe-faciliteten inden for transeuropæiske telenet, CEF-TC-2016-3: Cybersikkerhed, tilgængelig på: https://ec.europa.eu/inea/sites/inea/files/2016-3_ceftelecom_calltext_cybersecurity_200916_final.pdf, bilag, arbejdsprogram 2016, tilgængelig på: https://ec.europa.eu/inea/sites/inea/files/wp2016_adopted_20160303.pdf.

[2] Europa-Parlamentets og Rådets forordning (EF) nr. 1049/2001 af 30. maj 2001 om aktindsigt i Europa-Parlamentets, Rådets og Kommissionens dokumenter, som findes på: https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32001R1049&rid=1.

[3] Rettens dom af 30. januar 2008, Terezakis mod Kommissionen, T-380/04.

[4] Indkaldelse af forslag vedrørende projekter af fælles interesse under Connecting Europe-faciliteten inden for transeuropæiske telenet, CEF-TC-2016-3: Cybersikkerhed, tilgængelig på: https://ec.europa.eu/inea/sites/inea/files/2016-3_ceftelecom_calltext_cybersecurity_200916_final.pdf, bilag, arbejdsprogram 2016, tilgængelig på: https://ec.europa.eu/inea/sites/inea/files/wp2016_adopted_20160303.pdf.

[5] Udbudsbekendtgørelse, 2018/S 019-040409, findes på: https://ted.europa.eu/udl?uri=TED:NOTICE:040409-2018:TEXT:RO:HTML.

[6] INEA's websted, der findes på: https://ec.europa.eu/inea/en/connecting-europe-facility/cef-telecom/2016-ro-ia-0128, https://ec.europa.eu/inea/en/connecting-europe-facility/cef-telecom/apply-funding/2016-cef-telecom-call-cyber-security-cef-tc-2016-3; den offentlige virksomheds websted, der findes på: https://www.cert.ro/pagini/ecsi-side projektets særlige websted, der findes på: https://ecsi.cert.ro/ det rumænske system/den rumænske platform for offentlige udbud, som findes på: www.e-licitatie.ro og Tenders Electronic Daily, tilgængelig på: www.ted.europa.eu.

[7] I overensstemmelse med artikel 2, litra a), i Europa-Parlamentets og Rådets forordning (EF) nr. 45/2001 af 18. december 2000 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger, som findes på: https://eur-lex.europa.eu/legal-content/en/TXT/?uri=CELEX:32001R0045.

[8] INEA henviser til Rettens dom af 12. juli 2001, Mattila mod Rådet og Kommissionen, T-204/99, præmis 69, og af 20. marts 2014, i sag T-181/10, Reagens mod Kommissionen, præmis 161-175, Rettens dom af 19. juli 1999 i sag T-14/98, Hautala mod Rådet, præmis 30, og af 7. februar 2002 i sag T-211/00, Kuijer mod Rådet, præmis 57.

[9] Jf. dommen i sagen Reagens mod Kommissionen, T-181/10, præmis 172 og 175.

[10] I overensstemmelse med artikel 4, stk. 1, litra b), og artikel 4, stk. 2, første led, i forordning (EF) nr. 1049/2001.

[11] F.eks. Rettens dom af 26. maj 2016, International

Management Group mod Europa-Kommissionen, sag T-110/15, præmis 30, og Rettens dom af 13. november 2015, ClientEarth mod Europa-Kommissionen, sag T-424/14 og T-425/14, præmis 65.

[12] Rettens dom af 12. juli 2001, Mattila mod Rådet og Kommissionen, sag T-204/99, præmis 69.